Cómo armar un perfil de cliente OpenVPN con los archivos emitidos

Su operador le entrega un paquete de CA, un certificado de cliente y su clave, y el cliente no arrancará hasta que estén conectados en un solo perfil. El perfil es configuración: apunta a esos archivos, no los contiene, y editarlo no puede convertirlo en un certificado. El recorrido comienza en un portátil ya aprobado y termina con un perfil que puede iniciar desde un directorio conocido. No crea una CA, no inscribe un certificado nuevo ni toca el servidor.

El objetivo aquí es un cliente de línea de comandos OpenVPN 2.6 para Linux, enrutado con TUN sobre UDP, con autenticación por certificado.

Reúna solo los archivos del lado del cliente

Trabaje en un directorio protegido y reúna el material de confianza de la CA aprobado, su certificado de cliente emitido y la clave privada que le corresponde. En este ejemplo los nombres son ca.crt, laptop-a.crt y laptop-a.key. Los nombres de archivo son solo etiquetas; no dicen nada sobre lo que contiene cada archivo.

Si generó la clave durante la inscripción, nunca salió de la máquina; del emisor solo deben volver el certificado firmado y la cadena pública. Compruebe que el certificado lleve el rol de cliente que espera el servicio. Compruebe también que la clave pertenezca a ese certificado y no a uno anterior de un intento previo. Un par que no coincide produce un fallo TLS mucho más tarde, que parece un problema del servidor.

Deje la clave privada de firma de la CA, la clave privada del servidor y los parámetros DH fuera de este paquete.

Conecte los archivos en un perfil pequeño

El perfil de abajo es deliberadamente corto. Cada línea o bien elige el extremo, o bien restringe la identidad que aceptará el cliente, o bien apunta a uno de los tres archivos.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

La línea remote elige el extremo de red. remote-cert-tls server exige que el par presente un certificado con rol de servidor. verify-x509-name fija el nombre esperado, aquí vpn-gateway como Common Name del certificado del servidor con el campo de nombre predeterminado de OpenVPN. Ese valor no se infiere del nombre de host DNS, así que use el esquema de identidad que haya proporcionado el operador.

No descarte esas comprobaciones solo porque un extremo de prueba muestre un certificado distinto.

Este perfil base supone que no hay un desafío de cuenta separado ni una clave de canal de control. Si el servicio necesita auth-user-pass, tls-auth o tls-crypt, conserve la configuración y el material que le dieron, porque un secreto de canal de control generado por usted no coincidirá con el que guarda el servidor. Conserve también la política de cifrado del servicio en lugar de importar líneas de compresión o de cifrado de un ejemplo antiguo.

Haga explícito el directorio de trabajo

Las rutas relativas siguen el directorio de trabajo del proceso, no la ubicación del archivo .ovpn.

Eso sorprende a quienes mueven el perfil a una carpeta nueva y esperan que la clave lo siga. Para un directorio elegido por el administrador, el comando de abajo cambia a una ruta absoluta antes de leer el perfil y sus referencias.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

Un asistente de importación de escritorio o un servicio del sistema pueden empaquetar las dependencias por usted y aplicar sus propias reglas. También pueden usar un directorio de trabajo distinto del que probó. Confirme cómo resuelve su método de inicio las rutas de la clave, el certificado y la CA. Mover solo el archivo .ovpn no mueve la clave privada separada.

Mantenga la clave legible solo para el usuario o la identidad de servicio previstos.

Verifique la entrega, no los nombres de archivo

Antes de la primera conexión autorizada, compruebe el extremo, la identidad del certificado, el emisor y la ventana de validez. Luego confirme que las referencias a los archivos se resuelven desde el directorio de trabajo que realmente usará. Tras conectar, pruebe el comportamiento de la aplicación y del DNS que la política de enrutamiento debe proporcionar. Tres archivos legibles no demuestran nada sobre la autorización del servidor ni sobre una ruta de recurso utilizable.

Si aparece una solicitud de frase de contraseña, pertenece a la clave privada, no a una cuenta de VPN.

Por último, haga inventario del paquete como material de credenciales. Entregar el mismo certificado y la misma clave a un segundo portátil copia la identidad, y renombrar el archivo no le da una segunda inscripción. Esa es la diferencia entre armar un perfil y emitirlo.